TenderNed Standaardenmonitor

Om de implementatie van beveiligingstandaarden op de lijst open standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals, TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).

E76 Voor zover er binnen de ICT-oplossing sprake is van mailfunctionaliteit (het versturen dan wel ontvangen van e-mails), voldoet de ICT-oplossing aan de navolgende standaarden: DKIM, DMARC en SPF.

Om de implementatie van beveiligingstandaarden op de lijst open standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals, TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).

E76 Voor zover er binnen de ICT-oplossing sprake is van mailfunctionaliteit (het versturen dan wel ontvangen van e-mails), voldoet de ICT-oplossing aan de navolgende standaarden: DKIM, DMARC en SPF.

Om de implementatie van beveiligingstandaarden op de lijst open standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals, TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).

E77 Met betrekking tot alle web-omgevingen (zoals de te leveren self-service-webportalen), de verbinding daar naartoe en de adressering hierbij, voldoet de ICT-oplossing aan de volgende standaarden: DNSSEC en HTTPS en HSTS en IPv4 en IPv6 en TLS 1.2 of hoger, inclusief het gebruik van security-headers.

De ICT-Prestatie zal gedurende de looptijd van de Overeenkomst voor de volgende ICT-kwaliteitsgebieden blijven voldoen aan de Gemeentelijke ICT-Kwaliteitsnormen: ICT-kwaliteitsgebieden ICT-kwaliteitsnormen Architectuur GEMMA Interoperabiliteit StUF, Digikoppeling, BRP/Haal Centraal Informatiebeveiliging en privacy Baseline Informatiebeveiliging Overheid (BIO) Dataportabiliteit Inhoud + metadata overdraagbaar, open formaat, bij voorkeur XML/JSON Pagina 5 van 16 Metadatering MDTO Digitale toegankelijkheid Europese standaard EN 301 549 met WCAG 2.1 Archivering NEN-ISO 15489-1 NL, NEN-ISO 16175-1 Infrastructuur Generieke Digitale Infrastructuur (GDI), aansluiten op Stelsel van Basisregistraties Documentatie Softwarecatalogus of vergelijkbaar niveau van actuele productdocumentatie E-facturering EN16931 en NLCIUS 4.2.

Het domein ‘infrastructuur’ omvat onder andere de bouwstenen ‘Diginetwerk’, ‘Digikoppeling’ en ‘PKIoverheid’.

Het betreft normen en standaarden die de volgende ICT-kwaliteitsgebieden afdekken (tussen haakjes staan ter verduidelijking voorbeelden van betreffende normen en standaarden, waarbij opvolgende versies ook onder de normen vallen): • Architectuur (GEMMA); • Interoperabiliteit (NEN3610, Stuf, SUWIML, Digikoppeling, iWMO); • Beveiliging (Baseline Informatiebeveiliging Gemeenten); • Dataportabiliteit; • Metadatering (TMLO); • Toegankelijkheid (Webrichtlijnen); • Archivering (NEN-ISO 15489-1 NL, NEN-ISO 16175-1); • Infrastructuur (Generieke Digitale Infrastructuur, aansluiten op Stelsel van Basisregistraties); • Documentatie; • E-facturering. Veel normen en standaarden schrijven voor dat bepaalde preventieve testen worden uitgevoerd zodat aangetoond wordt dat aan de betreffende norm wordt voldaan.

De ICT-Prestatie zal gedurende de looptijd van de Overeenkomst voor de volgende ICT-kwaliteitsgebieden blijven voldoen aan de Gemeentelijke ICT-Kwaliteitsnormen: ICT-kwaliteitsgebieden ICT-kwaliteitsnormen Architectuur GEMMA Interoperabiliteit StUF, Digikoppeling, BRP/Haal Centraal Informatiebeveiliging en privacy Baseline Informatiebeveiliging Overheid (BIO) Dataportabiliteit Inhoud + metadata overdraagbaar, open formaat, bij voorkeur XML/JSON Pagina 5 van 16 Metadatering MDTO Digitale toegankelijkheid Europese standaard EN 301 549 met WCAG 2.1 Archivering NEN-ISO 15489-1 NL, NEN-ISO 16175-1 Infrastructuur Generieke Digitale Infrastructuur (GDI), aansluiten op Stelsel van Basisregistraties Documentatie Softwarecatalogus of vergelijkbaar niveau van actuele productdocumentatie E-facturering EN16931 en NLCIUS 4.2.

De ICT-oplossing moet (als onderdeel van EN 301 549) ook voldoen aan Web Content Accessibility Guidelines 2.1 Level AA (WCAG2AA).

Onder websites vallen ook intra- en extranetten en cloudapplicaties volgens de Europese definitie (zie digitoegankelijk.nl/aan-de-slag/tips/intranetten).

E77 Met betrekking tot alle web-omgevingen (zoals de te leveren self-service-webportalen), de verbinding daar naartoe en de adressering hierbij, voldoet de ICT-oplossing aan de volgende standaarden: DNSSEC en HTTPS en HSTS en IPv4 en IPv6 en TLS 1.2 of hoger, inclusief het gebruik van security-headers.

Alle overheidsorganisaties moeten ook via IPv6 bereikbaar zijn.

Om te voorkomen dat websites en apparaten onbereikbaar worden is Internet Protocol versie 6 (IPv6) ontwikkeld.

Zie: digitaleoverheid.nl/mido/ generieke-digitale-infrastructuur-gdi/ domein-infrastructuur/ G2 Ondersteunen IPv6 Richtlijnen voor IPv6: forumstandaardisatie.nl/open-standaarden/ ipv6-en-ipv4.

Zie paragraaf 2.2 X Financieel economische draagkracht: De jaarrekening over het laatst vastgestelde boekjaar, alsmede de laatst afgegeven accountantsverklaring (of in voorkomend geval een beoordelings- of samenstellingsverklaring) Zie paragraaf 2.3.2 X Een kopie van het polisblad van een geldige bedrijfsaansprakelijkheidsverzekering Zie paragraaf 2.3.2.1 X Ingevulde referentieformulier(en) (Bijlage 1) Zie paragraaf 2.3.4 X Geldig ISO 27001 certificaat van de Inschrijver Zie paragraaf 2.3.3 X Geldig ISO 27001-certificaat van het gebruikte datacenter of hostingpartij (indien van toepassing) Zie paragraaf 2.3.3 X De Verklaring van Toepasselijkheid behorende bij het ISO 27001-certificaat van de Inschrijver waaruit blijkt welke Annex A-maatregelen van ISO 27001 zijn geïmplementeerd en welke scope deze verklaring dekt.

Zie paragraaf 2.3.3 X Verklaring van Toepasselijkheid behorende bij het ISO 27001-certificaat van het gebruikte datacenter of de hostingpartij, waaruit de geïmplementeerde Annex Amaatregelen en de gedekte scope blijken (indien van toepassing) Zie paragraaf 2.3.3 X Verklaring omtrent Russische betrokkenheid Zie paragraaf 2.3.5 X Beschrijvend document aanbesteding Financieel systeem Pagina 15 van 40 Reactie op sub-subgunningscriterium G2.1 Zie paragraaf 4.3.1 X Reactie op sub-subgunningscriterium G2.2 Zie paragraaf 4.3.2 X Reactie op sub-subgunningscriterium G2.3 Zie paragraaf 4.3.3 X Reactie op sub-subgunningscriterium G2.4 Zie paragraaf 4.3.4 X Reactie op sub-subgunningscriterium G2.5 Zie paragraaf 4.3.5 X Ingevuld en rechtsgeldig ondertekend prijzenblad Paragraaf 4.2 en Bijlage 3.

2.3.3 TECHNISCHE BEKWAAMHEID - KWALITEITSBORGING De Inschrijver dient zelfstandig in het bezit te zijn van een geldig ISO 27001:2022 certificaat (bij voorkeur organisatorisch geïmplementeerd conform de best-practices van ISO 27002) of aantoonbaar gelijkwaardig, inclusief een verklaring van toepasselijkheid.

2.3.3 TECHNISCHE BEKWAAMHEID - KWALITEITSBORGING De Inschrijver dient zelfstandig in het bezit te zijn van een geldig ISO 27001:2022 certificaat (bij voorkeur organisatorisch geïmplementeerd conform de best-practices van ISO 27002) of aantoonbaar gelijkwaardig, inclusief een verklaring van toepasselijkheid.

De BIO2 is gebaseerd op de laatste versie van de ISO 27001 en de ISO 27002.

Indien Inschrijver gebruik maakt van derden die de rekencentraservices van de Inschrijver verzorgen met betrekking tot de ICT-oplossing, dienen deze derden (ongeacht of wel of niet beroep wordt gedaan op de draagkracht van deze derden en zonder dat deze derden hiervoor een beroep op draagkracht doen van andere derden) in het bezit te zijn van een geldig ISO 27001:2022 certificaat (bij voorkeur organisatorisch geïmplementeerd conform de best-practices van ISO 27002) of aantoonbaar gelijkwaardig, inclusief een verklaring van toepasselijkheid.

De ICT-Prestatie zal gedurende de looptijd van de Overeenkomst voor de volgende ICT-kwaliteitsgebieden blijven voldoen aan de Gemeentelijke ICT-Kwaliteitsnormen: ICT-kwaliteitsgebieden ICT-kwaliteitsnormen Architectuur GEMMA Interoperabiliteit StUF, Digikoppeling, BRP/Haal Centraal Informatiebeveiliging en privacy Baseline Informatiebeveiliging Overheid (BIO) Dataportabiliteit Inhoud + metadata overdraagbaar, open formaat, bij voorkeur XML/JSON Pagina 5 van 16 Metadatering MDTO Digitale toegankelijkheid Europese standaard EN 301 549 met WCAG 2.1 Archivering NEN-ISO 15489-1 NL, NEN-ISO 16175-1 Infrastructuur Generieke Digitale Infrastructuur (GDI), aansluiten op Stelsel van Basisregistraties Documentatie Softwarecatalogus of vergelijkbaar niveau van actuele productdocumentatie E-facturering EN16931 en NLCIUS 4.2.

10.3 Normen en standaarden Nr. Standaard/norm Bronnen/referenties I1 EN16931 en NLCIUS forumstandaardisatie.nl/openstandaarden/nlcius 10.4 Tips en toelichting 1.

NLCIUS is een aanvullende nationale specificatie op EN16931 voor toepassing in Nederland.

Om de implementatie van beveiligingstandaarden op de lijst open standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals, TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).

Voor zover er binnen de ICT-oplossing sprake is van een verbinding tussen twee of meerdere e-mail servers, voldoet de ICT-oplossing eveneens aan de navolgende standaarden: STARTTLS en DANE.

De ICT-Prestatie zal gedurende de looptijd van de Overeenkomst voor de volgende ICT-kwaliteitsgebieden blijven voldoen aan de Gemeentelijke ICT-Kwaliteitsnormen: ICT-kwaliteitsgebieden ICT-kwaliteitsnormen Architectuur GEMMA Interoperabiliteit StUF, Digikoppeling, BRP/Haal Centraal Informatiebeveiliging en privacy Baseline Informatiebeveiliging Overheid (BIO) Dataportabiliteit Inhoud + metadata overdraagbaar, open formaat, bij voorkeur XML/JSON Pagina 5 van 16 Metadatering MDTO Digitale toegankelijkheid Europese standaard EN 301 549 met WCAG 2.1 Archivering NEN-ISO 15489-1 NL, NEN-ISO 16175-1 Infrastructuur Generieke Digitale Infrastructuur (GDI), aansluiten op Stelsel van Basisregistraties Documentatie Softwarecatalogus of vergelijkbaar niveau van actuele productdocumentatie E-facturering EN16931 en NLCIUS 4.2.

Ten opzichte van de StUF-standaarden sluiten deze API-standaarden beter aan bij door softwareontwikkelaars gebruikte industriestandaarden.

E77 Met betrekking tot alle web-omgevingen (zoals de te leveren self-service-webportalen), de verbinding daar naartoe en de adressering hierbij, voldoet de ICT-oplossing aan de volgende standaarden: DNSSEC en HTTPS en HSTS en IPv4 en IPv6 en TLS 1.2 of hoger, inclusief het gebruik van security-headers.

E78 De ICT-oplossing voldoet aan de verplichting dat er een security.txt-bestand in de self-service-webonderdelen voor inwoners, organisaties en instellingen van de ICT-oplossing opgenomen kan worden.

Een geldig certificaat volgens de Europese norm ISO 27001 dat is opgesteld door een onafhankelijke certificatie instelling of is uitgegeven door instanties die voldoen aan de Europese normenreeks voor certificering met de bijbehorende verklaring van toepasselijkheid; of 2.

Een ander (eigen) ISMS, in het geval Deelnemer niet over één van voorgenoemde certificaten beschikt, dat minimaal gelijkwaardig is aan de Europese norm ISO 27001, waarin in ieder geval is opgenomen: a. (de inhoudsopgave van) het vigerende interne kwaliteitshandboek; b. rapportages van recente en regelmatige, door een onafhankelijke derde uitgevoerde audits of Datum Versie Sociale Verzekeringsbank Beschrijvend document 25-9-2026 2.0 Pagina 38 van 48 andere bewijzen van het continu toetsen van het ISMS; of 4.

Andere bewijzen van maatregelen ter borging van de kwaliteit gelijkwaardig aan de Europese norm ISO 27001 ten grondslag liggende eisen.

PvE-89 Voor REST API koppelingen moet de open standaard OpenAPI Specification (OAS) voor het specificeren en documenteren van de API gebruikt worden.

Bij de SVB wordt momenteel gedeeltelijk gebruik gemaakt van SETU.

Dit verhoogt de betrouwbaarheid van de data, brengt uiteindelijk lagere integratiekosten met zich mee, doordat sneller ingespeeld kan worden op het onboardingsproces van gewijzigde of vernieuwde systemen, zorgt voor AVG data portabiliteit en ontsluit een vereenvoudigd compliance proces als gevolg van een hogere mate van automatisering. Door implementatie van de SETU standaard is binnen de SVB en bij de Opdrachtnemer minder handmatig werk nodig, waardoor er een lagere foutkans ontstaat, snellere facturatie en betaling kan plaatsvinden en een betere datakwaliteit kan ontstaan.

Koppelingen Gedigitaliseerde gegevensuitwisselingen dienen waar mogelijk gerealiseerd te worden middels toepassing van gestandaardiseerde SETU berichtensets, dan wel middels een standaard bewezen en door SVB geaccepteerd alternatief en te voldoen aan de gestelde eisen.

PvE-85 Koppelingen die van belang zijn voor de Inhuur van Professionals en in beheer zijn bij Opdrachtnemer (incl. Onderaannemers) dienen minimaal tijdens transport beveiligd te zijn volgens de standaard TLS 1.3 of hoger.

Authenticatie verloopt via Azure Active Directory (SAML 2.0).

Eis 58 Leverancier biedt de ergonomische instructies op de volgende manieren aan: Gemeente Amersfoort 6 Bijlage X Programma van Eisen t.b.v. aanbesteding Kantoorinrichting ‘Huis voor de Stad en nevenlocaties’ - Uitleg ter plekke; - Digitale instructievideo’s op de bestelwebsite; - Telefonisch helpdesk tijdens kantooruren (08:30 tot 17:00) Eis 59 De webportal is een webbased SaaS-oplossing, toegankelijk via moderne browsers, en maakt gebruik van een versleutelde verbinding (TLS 1.2 of hoger).

Industry Foundation Classes IFC Neutraal en open bestandsformaat voor het uitwisselen van BIM-specifieke informatie (modelobjecten en hun eigenschappen) tussen softwareapplicaties Informatie en Communicatietechnologie ICT Informatie volgsysteem IVS Het Informatie- en Volgsysteem voor de Scheepvaart Informatievoorziening IV Het geheel aan hulpmiddelen (waaronder ICT en IA), gegevensverzamelingen en organisatorische inrichtingen, dat dient tot het verstrekken van informatie.

CY010 CY140 Indien bijlage S "Cybersecurity Implementatierichtlijn Objecten" bij deze Vraagspecificatie Proces niet voorziet in cybersecuritymaatregelen voor de invulling van de cybersecurity eisen, dan dient de Opdrachtnemer de NEN-ISO/IEC 27002 (Code voor Informatiebeveiliging) en/of delen van de IEC 62443 standaards (Industrial Automation and Control Systems (IACS) Security) te volgen.

Omschrijving referentie Eis / bepaling NEN-EN-ISO 9001; vigerende versie KM020 Veiligheidshuisregels Rijkswaterstaat, vigerende versie Gepubliceerd op : https://standaarden.rijkswaterstaat.nl IV090 Certificatieschema Veiligheidsladder; https://www.veiligheidsladder.org/wpcontent/uploads/2016/06/Certificatieschema_Veiligheidsladder_4.0- final.pdf, NEN, Versie 4.0 datum 1 juli 2016 VL010 Handreiking Veiligheid in Aanbestedingen – Governance Code Veiligheid in de Bouw; https://gc-veiligheid.nl/tools/veiligheid-inaanbesteding-via, Versie 2.2, 15 juli 2021 VL030 Europese richtlijn 2006/42/EG (Machinerichtlijn) RICHTLIJN 2006/42/EG VAN HET EUROPEES PARLEMENT EN DE RAAD van 17 mei 2006 betreffende machines en tot wijziging van Richtlijn 95/16/EG (herschikking) MV010 MV030 MV040 MV065 MV090 MV100 MV110 MV120 MV180 MV190 NEN-EN-ISO 12100 Veiligheid van machines – Algemene ontwerpbeginselen - Risicobeoordeling en risicoreductie (ISO 12100:2010) MV040 NPR-ISO/TR 14121-2 (Safety of machinery – Risk assessment – Part 2), hoofdstuk 6.5 ‘Hybrid Tool’ MV050 NEN-EN-IEC 62061 Veiligheid van machines - Functionele veiligheid van veiligheidsgerelateerde elektrische, elektronische en programmeerbare elektronische besturingssystemen; vigerende versie MV075 NEN-EN 50110 Bedrijfsvoering van elektrische installaties (deel 1, Algemene eisen en deel 2 Nationale bijlagen); vigerende versie EI010 NEN 3140+A1 Bedrijfsvoering van elektrische installaties - Laagspanning; vigerende versie EI010 Pagina 157 van 219 RWS BEDRIJFSVERTROUWELIJK | DEFINITIEF | Vraagspecificatie Proces | 5 oktober 2022 NEN 3840+A1 Bedrijfsvoering van elektrische installaties – Hoogspanning; vigerende versie EI010 CROW-publicatie 137 Standaardsystematiek voor kostenramingen – SSK-2010 FM130 NEN-ISO/IEC-27005 Information technology – Security techniques - Information security risk management; vigerende versie RM130 CROW-publicatie 500 “Schade voorkomen aan kabels en leidingen, Richtlijn zorgvuldig grondroeren van initiatief- tot gebruiksfase”, d.d. 2 november 2016 ISBN 978 90 6628 658 0 KL210 Huisstijlrichtlijn bouwborden Rijkswaterstaat versie 2.1 d.d. 4 mei 2018 Gepubliceerd op: www.rws.nl/bouwborden CD320 Gedragscode soortenbescherming Rijkswaterstaat, d.d. 29 september 2018 Gepubliceerd op www.rws.nl/gedragscode-soortenbescherming FF020 BRL 5024 “Beoordelingsrichtlijn voor het KOMO Procescertificaat voor het uitvoeren van bouwkundige vooropnamen”, d.d. 3 oktober 2013 IKOB-BKB BS100 BS150 BS160 BRL 5023 “Nationale beoordelingsrichtlijn voor het KOMO procescertificaat voor het proces van het meten van trillingen”, d.d. 2 januari 2013 IKOB-BKB BS210 CROW-Publicatie 210 “Richtlijn omgaan met vrijkomend asfalt, Aandacht voor de teerproblematiek”, d.d. juni 2015 ISBN 978 90 6628 655 9 B-UV340 Grip op Secure Software Development (SSD) Beveiligingseisen voor (web)applicaties, Centrum Informatiebeveiliging en Privacybescherming (CIP) https://cip-overheid.nl/media/1500/20200720-ssd-normen-v30.pdf CY010 Leidraad Coordinated Vulnerability Disclosure, Nationaal Security Centrum CY110 NEN-ISO/IEC 27002, Code voor Informatiebeveiliging; vigerende versie CY140 IEC 62443 standaards, Industrial Automation and Control Systems (IACS) Security CY140 Pagina 158 van 219 RWS BEDRIJFSVERTROUWELIJK | DEFINITIEF | Vraagspecificatie Proces | 5 oktober 2022 NEN-ISO 10007 Quality management systems – Guidelines for configuration management; juni 2004 CM250 Quickscan nationale veiligheid bij inkoop en aanbesteden, april 2019; PIANOo: https://www.pianoo.nl/nl/document/16908/quickscan-nationaleveiligheid-bij-inkoop-en-aanbesteden IM030 Pagina 159 van 219 RWS BEDRIJFSVERTROUWELIJK | DEFINITIEF | Vraagspecificatie Proces | 5 oktober 2022 Bijlage ARisicolijst Separaat toegevoegd Pagina 160 van 219 RWS BEDRIJFSVERTROUWELIJK | DEFINITIEF | Vraagspecificatie Proces | 5 oktober 2022 Bijlage BIntegraal Veiligheidsplan Separaat toegevoegd Pagina 161 van 219 RWS BEDRIJFSVERTROUWELIJK | DEFINITIEF | Vraagspecificatie Proces | 5 oktober 2022 Bijlage C SPIC, Safety Performance Indicator Contractor Separaat toegevoegd Pagina 162 van 219 RWS BEDRIJFSVERTROUWELIJK | DEFINITIEF | Vraagspecificatie Proces | 5 oktober 2022 Bijlage D Ter beschikking gestelde gebouwen en terreinen Separaat toegevoegd Pagina 163 van 219 RWS BEDRIJFSVERTROUWELIJK | DEFINITIEF | Vraagspecificatie Proces | 5 oktober 2022 Bijlage E NEN 3140 en NEN3840 Veiligheidshandboek Rijkswaterstaat Separaat toegevoegd Pagina 164 van 219 RWS BEDRIJFSVERTROUWELIJK | DEFINITIEF | Vraagspecificatie Proces | 5 oktober 2022 Bijlage F Conditioned Based Maintenance Separaat toegevoegd Pagina 165 van 219 RWS BEDRIJFSVERTROUWELIJK | DEFINITIEF | Vraagspecificatie Proces | 5 oktober 2022 Bijlage G Protocol berekenen en aantonen milieukosten (MKI-waarde) Separaat toegevoegd Pagina 166 van 219 RWS BEDRIJFSVERTROUWELIJK | DEFINITIEF | Vraagspecificatie Proces | 5 oktober 2022 Bijlage H Kaderrichtlijn Coördinatie Vergunningen op grond van artikel 20 Tracéwet Niet van toepassing Pagina 167 van 219 RWS BEDRIJFSVERTROUWELIJK | DEFINITIEF | Vraagspecificatie Proces | 5 oktober 2022 Bijlage I Regelingenschema Kabels en Leidingen Derden Separaat toegevoegd Pagina 168 van 219 RWS BEDRIJFSVERTROUWELIJK | DEFINITIEF | Vraagspecificatie Proces | 5 oktober 2022 Bijlage J Verkeersmanagement voor rijkswegen Separaat toegevoegd Pagina 169 van 219 RWS BEDRIJFSVERTROUWELIJK | DEFINITIEF | Vraagspecificatie Proces | 5 oktober 2022 Bijlage KScheepvaartverkeersmanagement voor rijksvaarwegen Separaat toegevoegd Pagina 170 van 219 RWS BEDRIJFSVERTROUWELIJK | DEFINITIEF | Vraagspecificatie Proces | 5 oktober 2022 Bijlage L Quickscan Soortenbescherming Separaat toegevoegd Pagina 171 van 219 RWS BEDRIJFSVERTROUWELIJK | DEFINITIEF | Vraagspecificatie Proces | 5 oktober 2022 Bijlage MProtocol Vaarwegen Zee en Delta Separaat toegevoegd Pagina 172 van 219 RWS BEDRIJFSVERTROUWELIJK | DEFINITIEF | Vraagspecificatie Proces | 5 oktober 2022 Bijlage NRijkswaterstaat Brede Afspraak Archeologie Niet van toepassing Pagina 173 van 219 RWS BEDRIJFSVERTROUWELIJK | DEFINITIEF | Vraagspecificatie Proces | 5 oktober 2022 Bijlage OProgramma van Eisen voor uitvoerend archeologisch onderzoek Niet van toepassing Pagina 174 van 219 RWS BEDRIJFSVERTROUWELIJK | DEFINITIEF | Vraagspecificatie Proces | 5 oktober 2022 Bijlage P Rijkswaterstaat Brede Afspraak Omgang met de Verkeerscentrales Niet van toepassing Pagina 175 van 219 RWS BEDRIJFSVERTROUWELIJK | DEFINITIEF | Vraagspecificatie Proces | 5 oktober 2022 Bijlage QRijkswaterstaat Brede Afspraak Maatschappelijk Verantwoord Inkopen Separaat toegevoegd Pagina 176 van 219 RWS BEDRIJFSVERTROUWELIJK | DEFINITIEF | Vraagspecificatie Proces | 5 oktober 2022 Bijlage RGeodetische Werkzaamheden en Areaalgegevens Separaat toegevoegd Pagina 177 van 219 RWS BEDRIJFSVERTROUWELIJK | DEFINITIEF | Vraagspecificatie Proces | 5 oktober 2022 Bijlage S Cybersecurity Implementatierichtlijn Objecten Separaat toegevoegd Pagina 178 van 219 RWS BEDRIJFSVERTROUWELIJK | DEFINITIEF | Vraagspecificatie Proces | 5 oktober 2022 Bijlage T Enterprise Architect Besturingsmodel Krammersluizencomplex concept Separaat toegevoegd Pagina 179 van 219 RWS BEDRIJFSVERTROUWELIJK | DEFINITIEF | Vraagspecificatie Proces | 5 oktober 2022 Bijlage U Demarcatie Document Renovatie Krammersluizen Separaat toegevoegd Pagina 180 van 219 RWS BEDRIJFSVERTROUWELIJK | DEFINITIEF | Vraagspecificatie Proces | 5 oktober 2022 Bijlage V OCD Operational Concept Description Renovatie Krammersluizen Separaat toegevoegd Pagina 181 van 219 RWS BEDRIJFSVERTROUWELIJK | DEFINITIEF | Vraagspecificatie Proces | 5 oktober 2022 Bijlage W J-STD-016 Separaat toegevoegd Pagina 182 van 219 RWS BEDRIJFSVERTROUWELIJK | DEFINITIEF | Vraagspecificatie Proces | 5 oktober 2022 Bijlage X MIL-STD-1521B Separaat toegevoegd Pagina 183 van 219 RWS BEDRIJFSVERTROUWELIJK | DEFINITIEF | Vraagspecificatie Proces | 5 oktober 2022 Bijlage Y Invulinstructie format LV BRO Separaat toegevoegd Pagina 184 van 219 RWS BEDRIJFSVERTROUWELIJK | DEFINITIEF | Vraagspecificatie Proces | 5 oktober 2022 Bijlage Z Melding inzet zelfstandige hulppersoon Separaat toegevoegd Pagina 185 van 219 RWS BEDRIJFSVERTROUWELIJK | DEFINITIEF | Vraagspecificatie Proces | 5 oktober 2022 Bijlage AA Protocol toevalstreffers CE Separaat toegevoegd Pagina 186 van 219 RWS BEDRIJFSVERTROUWELIJK | DEFINITIEF | Vraagspecificatie Proces | 5 oktober 2022 Bijlage BB Verkeersincident etc. en schadeherstel Separaat toegevoegd Pagina 187 van 219 RWS BEDRIJFSVERTROUWELIJK | DEFINITIEF | Vraagspecificatie Proces | 5 oktober 2022 Bijlage CC Industriële Automatisering Separaat toegevoegd Pagina 188 van 219 RWS BEDRIJFSVERTROUWELIJK | DEFINITIEF | Vraagspecificatie Proces | 5 oktober 2022 Bijlage DD Specificatie Functionele Inspecties en Testen Separaat toegevoegd Pagina 189 van 219 RWS BEDRIJFSVERTROUWELIJK | DEFINITIEF | Vraagspecificatie Proces | 5 oktober 2022 Bijlage EE FIT Typical (Generieke FIT-lijst) Separaat toegevoegd Pagina 190 van 219 RWS BEDRIJFSVERTROUWELIJK | DEFINITIEF | Vraagspecificatie Proces | 5 oktober 2022 Bijlage FF Inspectie waterkeringen in het kader van de Zorgplicht Waterveiligheid Separaat toegevoegd Pagina 191 van 219 RWS BEDRIJFSVERTROUWELIJK | DEFINITIEF | Vraagspecificatie Proces | 5 oktober 2022 Bijlage GG Handreiking prestatiegestuurde risicoanalyses PRA Separaat toegevoegd Pagina 192 van 219 RWS BEDRIJFSVERTROUWELIJK | DEFINITIEF | Vraagspecificatie Proces | 5 oktober 2022 Bijlage HH Handreiking Verificatiemethode Betrouwbaarheid en Beschikbaarheid Separaat toegevoegd Pagina 193 van 219 RWS BEDRIJFSVERTROUWELIJK | DEFINITIEF | Vraagspecificatie Proces | 5 oktober 2022 Bijlage II Aansluitvoorwaarden NNV Rijkswaterstaat Separaat toegevoegd Pagina 194 van 219 RWS BEDRIJFSVERTROUWELIJK | DEFINITIEF | Vraagspecificatie Proces | 5 oktober 2022 Bijlage JJ Aanvraag impactanalyse bij gepland werk Separaat toegevoegd Pagina 195 van 219 RWS BEDRIJFSVERTROUWELIJK | DEFINITIEF | Vraagspecificatie Proces | 5 oktober 2022 Bijlage KK Aanvraagformulier firewallwijziging Separaat toegevoegd Pagina 196 van 219 RWS BEDRIJFSVERTROUWELIJK | DEFINITIEF | Vraagspecificatie Proces | 5 oktober 2022 Bijlage LL Aanvraagformulier netwerktoegang derden RWS Separaat toegevoegd Pagina 197 van 219 RWS BEDRIJFSVERTROUWELIJK | DEFINITIEF | Vraagspecificatie Proces | 5 oktober 2022 Bijlage MM Dienstencatalogus Netwerken CIV PM Separaat toegevoegd Pagina 198 van 219 RWS BEDRIJFSVERTROUWELIJK | DEFINITIEF | Vraagspecificatie Proces | 5 oktober 2022 Bijlage NN Documentatie Specificatie RWS-datanetwerken Separaat toegevoegd Pagina 199 van 219 RWS BEDRIJFSVERTROUWELIJK | DEFINITIEF | Vraagspecificatie Proces | 5 oktober 2022 Bijlage OO Mandaatlijst COTS producten Separaat toegevoegd Pagina 200 van 219 RWS BEDRIJFSVERTROUWELIJK | DEFINITIEF | Vraagspecificatie Proces | 5 oktober 2022 Bijlage PP Format en voorbeeld van Safety Requirements Specification (SRS) Separaat toegevoegd UAV-GCI 2019 Uniforme Administratieve Voorwaarden Voor Geïntegreerde Contracten en Instandhouding 2 Woord vooraf Deze algemene voorwaarden van Rijkswaterstaat, de Uniforme Administratieve Voorwaarden voor Geïntegreerde Contracten en Instandhouding 2019, hierna te noemen de UAV-GCI 2019, zijn tot stand gekomen vanuit de behoefte van Rijkswaterstaat aan een contractvorm voor opdrachten waarin bestaand areaal in stand wordt gehouden terwijl delen van dat bestaande areaal in meer of in mindere mate worden vervangen en/of gerenoveerd en waarna zowel het bestaande als het nieuwe areaal op basis van de life cycle gedachte nog gedurende een lange periode in stand kan worden gehouden.

Eis geldig beginnend op: Voltooiingsdatum Eis geldig tot en met: Opleveringsdatum Eis geldig op: SYS-05936 Renovatie Krammersluizen - Cybersecurity - Transport Layer Security .

Titel Datum / Versie Eis-ID Bedieningsprotocollen spuien Krammersluizen ZZS 14 november 2016 / 1.0 SYS-3460 Beleid fysieke beveiliging RWS ZD 11-02-2019 / 0.4 SYS-2175 Besluit Elektromagnetische Compatibiliteit 2007 SYS-0066 Betonreparaties 06-10-2021 / 1.0 SYS-04932 Bijlage Optionele werkzaamheden radarinstallatie Krammersluizen 03-08-2022 SYS-06317 Bijlage optionele werkzaamheden bediengebouw Krammersluizen 27-09-2022 SYS-06445 CS11 - Afscherming rioolschuiven Krammersluizencomplex SYS-05184 CS31 - Aanbrengen afscherming niveaumetingen Krammersluizencomplex SYS-05190 CUR-Aanbeveling 024 SYS-2009 Conserveringssysteem stalen onderdelen 06-10-2021 / 1.0 SYS-2221, SYS2729, SYS2770 Demarcatie Document Renovatie Krammersluizen 09-08-2022 / 1.0 SYS-06316 EIA RKS VenV Voorschriften 1.0 / 13-9-2022 SYS-05336, SYS-2790, SYS3752, SYS3754, SYS3762, SYS3774 Elektromagnetische compatibiliteit (EMC) - Deel 6-2: Algemene normen - Immuniteit voor industriële omgevingen SYS-0066 Elektromagnetische compatibiliteit (EMC) - Deel 6-4: Algemene normen - Emissienorm voor industriële omgevingen SYS-0066 Energiezuinig ontwerpen van civiele kunstwerken SYS-0071 Guide for the EMC Directive 2004/108/EC SYS-0066 Handreiking Sociale veiligheid SYS-0028 Hydraulische Randvoorwaarden Krammersluizencomplex 13-04-2021 / 1.0 SYS-1824, SYS2725, SYS2726, SYS2727, SYS2730 DEFINITIEF | Vraagspecificatie Eisen | Zaaknummer: 31138697 | 05 oktober 2022 Vertrouwelijkheid: RWS Bedrijfsvertrouwelijk Pagina 69 van 74 Titel Datum / Versie Eis-ID Kader toepassing Wetgeving Machineveiligheid Beweegbare objecten van HWN, HVWN en HWS November 2018 / 2.2a SYS-0091 Kamerstukken II, 2007-08, 30196, 35, inclusief bijlage 2 SYS-2795 Kleurenpaspoort Krammersluizencomplex SYS-2006 Krammersluizen-Aanbrengen extra leuningen SYS-05338 Machinerichtlijn 2006/42/EG 17 mei 2006 SYS-0091 NBD 07005 Eisen booglassen SYS-04990 NEN 1010 SYS-04894 NEN 8012 SYS-05827 NEN-EN-IEC 60204-1 september 2018 SYS-2786, SYS3906 NEN-EN-ISO 10684 SYS-1969 NEN-EN-ISO 14122 deel 1 t/m 4 SYS-3976 NEN-EN-ISO 14122-2 SYS-3798 NEN-EN-ISO 14122-3 SYS-05336 NEN-EN-ISO 1461 SYS-05335 NEN-EN-ISO 4413 SYS-2785, SYS3792 Ontwerp van Schutsluizen deel 1 en 2 SYS-0084 Procesbeschrijving Overgang Bedieningtoestanden 5-1-2022 / 2.0 SYS-2889 RBA Duurzaam Inkopen SYS-0042 RKS Richtlijn Elektrotechniek 22-2-2021 / 1.0 SYS-2608, SYS2866, SYS2872, SYS2880, SYS2893 RKS Richtlijn Procesautomatisering 22-2-2021 / 1.0 SYS-06212, SYS-2872, SYS2891 RKS-EIA-FUW-07079 - Besturingssysteem Spuimiddel en Vispassage 23-12-2020 / 1.1 SYS-0418, SYS3752, SYS3754, SYS3762, SYS3774 RTD 1025 01-01-2018 / 1.0 SYS-2785 RWSZD-2019-01351 25-10-2019 SYS-2724 Regeling Elektromagnetische Compatibiliteit 2007 SYS-0066 Richtlijn 2004/40/EG SYS-0098 Richtlijn 2014/30/EU SYS-0066 Richtlijn EMV 26 juni 2013 / 2013/35/EU SYS-04669 DEFINITIEF | Vraagspecificatie Eisen | Zaaknummer: 31138697 | 05 oktober 2022 Vertrouwelijkheid: RWS Bedrijfsvertrouwelijk Pagina 70 van 74 Titel Datum / Versie Eis-ID Richtlijn voor het gebruik van olie, vet en betonontkistingsmiddel SYS-0067 Richtlijnen Vaarwegen 2020 20 november 2020 / 3.0 SYS-0119, SYS2381 Richtlijnen voor Transport Layer Security januari 2021 / 2.1 SYS-05936 Risicobeoordeling Machine Bekkensysteem SYS-05184 Risicobeoordeling Machine Duwvaartsluis 1 SYS-05184 Risicobeoordeling Machine Duwvaartsluis 2 SYS-05184 Risicobeoordeling Machine Jachtensluis 1 SYS-05184 Risicobeoordeling Machine Jachtensluis 2 SYS-05184 Smeerboeken 1.6 SYS-05723, SYS-2524, SYS2632 Uitgangspunten toekomstig gebruik Krammersluizen 9 april 2021 SYS-0261, SYS05218, SYS2344, SYS2872 VCM Referentieontwerp CBB SYS-1830 Visie Scheepvaart Verkeersmanagement 2025 SYS-1830 Aansluitvoorwaarden Nieuwe Netwerkvoorziening Rijkswaterstaat 16-12-2016 / F SYS-05951 Cybersecurity Implementatierichtlijn Objecten 23-04-2021 / 2.4 SYS-05930, SYS-05932, SYS-05933, SYS-05934, SYS-05935, SYS-05938, SYS-05943, SYS-05944, SYS-05945, SYS-05946, SYS-05947, SYS-05948, SYS-05949, SYS-05950, SYS-05953, SYS-05956, SYS-05958, SYS-05960, SYS-05961, SYS-05963, SYS-05965 ICT-Beveiligingsrichtlijnen Webapplicaties 2015-09-01 SYS-05959 Criteria voor duurzaam inkopen van Waterbouwkundige Constructies 11-2-2010 / 1.4 SYS-0042 Handreiking Ruimtelijke Kwaliteit en Vormgeving in relatie met Sociale veiligheid en Security 19-10-2018 / 2.1 SYS-0120 DEFINITIEF | Vraagspecificatie Eisen | Zaaknummer: 31138697 | 05 oktober 2022 Vertrouwelijkheid: RWS Bedrijfsvertrouwelijk Pagina 71 van 74 Titel Datum / Versie Eis-ID Kader Life Cycle Cost (LCC) 2-12-2014 / 1.0 SYS-0071 Overzicht van normen laswerkzaamheden 02-12-2020 SYS-04989, SYS-04991, SYS-04992, SYS-05000, SYS-05002 RKS Systeemlandschap en dataflow watermanagement 3-6-2021 / 1.6 SYS-06202 RKS Style Guide Bedienplek Onderhoud en Beheer 22-2-2021 / 1.0 SYS-06212, SYS-2891 Handboek Security 2015-12-15 / 3.0 SYS-2175 ROK 1 december 2021 / 2.0 SYS-0100, SYS05182, SYS05336, SYS05337 Richtlijnen Scheepvaarttekens December 2008 / 2008 SYS-2892 DEFINITIEF | Vraagspecificatie Eisen | Zaaknummer: 31138697 | 05 oktober 2022 Vertrouwelijkheid: RWS Bedrijfsvertrouwelijk Pagina 72 van 74 Bijlage A Systeemdecompositie bovenliggend systeem DEFINITIEF | Vraagspecificatie Eisen | Zaaknummer: 31138697 | 05 oktober 2022 Vertrouwelijkheid: RWS Bedrijfsvertrouwelijk Pagina 73 van 74 Bijlage B Systeemdecompositie en geldigheidsmomenten onderliggend systeem In het linkerdeel van onderstaande tabel is de decompositie van het systeem in systemen (veelal objecten) weergegeven.

Daarnaast zijn de volgende Koppelingen vereist: Koppeling Type Vereist/Optioneel CCTV <-> TRS Gebeurteniskoppeling: cameraactivatie bij toegangsevent Vereist TRS <-> Brand- en inbraakinstallatie Alarmkoppeling (I/O): blokkade lezers bij gewapend alarm Vereist TRS <-> Microsoft EntraID SAML 2.0/LDAP: SSO en tweefactorauthenticatie Vereist CCTV/TRS <-> Gebouwbeheersysteem API/Protocol Optioneel IN-002 Integratievereisten: • Bij een ongeautoriseerde toegangspoging activeert het systeem automatisch de dichtstbijzijnde camera • Bij een brandalarm worden alle nooduitgangen automatisch ontgrendeld (fail-safe) • Bij een inbraakalarm worden alle lezers in het betreffende gebied geblokkeerd • De oplossing ondersteunt standaard Koppelingen met Microsoft Entra ID en AFAS via gedocumenteerde API's of standaardconnectoren.

O2-002 Beeldkwaliteit opname • Resolutie: conform camera-specificaties (min. 1080p binnen, 4MP buiten) • Framerate: minimaal 25 fps per camera • Compressie: H.265 voor optimale balans kwaliteit/opslagruimte • Bitrate: aanpasbaar per camera (constant of variabel) • Dual stream: hoge kwaliteit voor opname, lagere kwaliteit voor live viewing (bandbreedte) • Kwaliteitsniveaus: instelbaar per camera afhankelijk van belangrijkheid • Pre-alarm recording: minimaal 10 seconden vóór alarm • Post-alarm recording: minimaal 30 seconden na alarm 2.4 Video Management Software Nr. Omschrijving V2-001 Algemene VMS-eisen • Nederlandstalige interface (volledig) • Intuïtieve bediening: minimale training nodig voor dagelijks gebruik • Multi-monitor ondersteuning (minimaal 2 schermen) • Webbased toegang voor remote viewing (beveiligd) • Mobiele apps voor iOS en Android • ONVIF compliant voor camera-integratie • API beschikbaar voor Koppelingen met andere systemen • Microsoft EntraID / LDAP integratie met SSO via SAML 2.0 • Schaalbaar: uitbreidbaar met meer camera’s en locaties zonder beperkingen • Tweefactorauthenticatie voor beheerders en remote toegang • Sessies worden automatisch beëindigd na instelbare periode van inactiviteit • Na drie foutieve inlogpogingen wordt account geblokkeerd V2-002 Live viewing functionaliteit • Configureerbare lay-outs: 1x1, 2x2, 3x3, 4x4 en custom • Drag-and-drop camera's naar monitors Aanbesteding van Plan- en regelbeheersoftware Referentie: TN612786 Bijlage 2AD Versie: 1.0 Datum: 17 september 2026 • PTZ-bediening: pan/tilt/zoom met muisbesturing • Digitale zoom in live beeld • Instant playback: direct terug kunnen kijken zonder live te verlaten • Alarm pop-ups bij events • Audio (indien van toepassing) • Snapshot functie • Grafische plattegronden met cameraposities (kaart-view) • Sequence viewing: automatische roulatie door camera's V2-003 Playback en zoekfunctionaliteit • Timeline-based playback: intuïtieve tijdlijn • Multi-camera playback: meerdere camera's synchroon terugkijken • Snelle zoekfunctie op: datum, tijd, camera, alarm, beweging • Smart search: zoeken op beweging binnen bepaald gebied • Thumbnail view: snel overzicht van opgenomen periode • Variable speed playback: 0.25x tot 32x snelheid • Frame-by-frame: nauwkeurige analyse • Digitale zoom in playback zonder kwaliteitsverlies • Bookmarks: markeren belangrijke momenten V2-004 Export en bewijslast • Export naar standaard formaten (AVI, MP4) • Exporteren met native player (opslaan van videobeelden in het oorspronkelijke, onbewerkte formaat) • Watermerk en digitale handtekening tegen manipulatie • Exporteren naar USB, netwerkschijf en e-mail • Meerdere camera's in één export • Metadata: datum, tijd, camera en locatie • Print snapshots met metadata • Exportrechten apart toekennen per gebruiker V2-005 Privacy en beveiliging • Privacy masking: afschermen privacygevoelige gebieden (vaste maskers) • Gebruikersbeheer: granulaire rechten per gebruiker/groep • Audit trail: volledige logging van alle gebruikersacties • Automatische uitlog na inactiviteit • Sterke wachtwoordeisen (complexiteit, rotatie) • Tweefactor authenticatie (optioneel maar aanbevolen) • Versleutelde communicatie (TLS/SSL) • Versleutelde opslag (optioneel) • Toegang beperken tot specifieke camera's per gebruiker Aanbesteding van Plan- en regelbeheersoftware Referentie: TN612786 Bijlage 2AD Versie: 1.0 Datum: 17 september 2026 • Export-rechten apart toekennen (niet iedereen mag exporteren) • Alle Gegevens verwerkt en opgeslagen binnen de EER V2-006 Intelligente analysefuncties • Indien AI- of videoanalysefunctionaliteit gebruikmaakt van cloudverwerking: • vindt verwerking plaats binnen de EER; • worden geen beelden gebruikt voor modeltraining; • blijft Opdrachtgever eigenaar van alle Gegevens.

A-006a Authenticatie en toegangsbeveiliging Het Systeem ondersteunt federatieve authenticatie via gangbare standaarden waaronder minimaal SAML 2.0 en OpenID Connect.

4.3.6 Onderhoudbaarheid Nummer Omschrijving NF-P-171 De Applicatie is (inclusief eventuele losse modules) webbased. Dit betekent dat alle functionaliteit via een webbrowser toegankelijk moet zijn op basis van HTML 5/HTTPS zijn zonder installatie van Applicatie of plug-ins of add-ons op de apparaat van de eindgebruiker.

NEN-EN-ISO 27001 Uitgevende instantie 12.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

Om aan zijn plichten uit artikel 38 van de Inkoopvoorwaarden te voldoen, overlegt Leverancier jaarlijks een ISO-certificering (ISO 27001).

• REST (REpresentational State Transfer) • JSON (JavaScript Object Notation) • W3C webservices (SOAP/XML) • StUF ZGW en BG etc • OGC standaarden En moeten eenduidig en duidelijk zijn gedocumenteerd bij oplevering van de Applicatie.

Opdrachtnemer levert bij oplevering: • volledige API-documentatie; • export van configuraties; • export van gebruikers- en autorisatiestructuren; • export van logginggegevens; Aanbesteding van Plan- en regelbeheersoftware Referentie: TN612786 Bijlage 2AD Versie: 1.0 Datum: 17 september 2026 • export van camerabeelden in gangbare formaten; • migratiedocumentatie ten behoeve van toekomstige vervanging van de oplossing. Voor deze exportmogelijkheden gelden geen aanvullende licenties IN-003 Netwerkinfrastructuur • Dedicated beveiligings-VLAN (logische scheiding van bedrijfsnetwerk) > eigen netwerklijn • Gigabit Ethernet connectiviteit minimum • PoE switches (IEEE 802.3at/bt) voor camera's en controllers (deels aanwezig) • Bekabeling minimaal Cat6 UTP, bij voorkeur Cat6a • Gebruik bestaande kabeltracés waar mogelijk • Redundante netwerkverbindingen voor kritieke componenten • VPN voor remote toegang beheer (verplicht in combinatie met tweefactorauthenticatie) • Firewall segmentatie beveiligingsnetwerk • Network Access Control (NAC) voor netwerkaansluitingen buiten het gebouw, specifiek voor paslezers bij slagboom en fietsenstalling • Paslezers buiten het gebouw: extra fysieke bescherming van de netwerkaansluiting Aanbesteding van Plan- en regelbeheersoftware Referentie: TN612786 Bijlage 2AD Versie: 1.0 Datum: 17 september 2026 IN-004 Cyberbeveiliging (zie A-006b) • Alle communicatie versleuteld via TLS 1.3 • Sterke wachtwoordvereisten: minimaal 12 tekens met complexiteitseisen • Tweefactorauthenticatie verplicht voor remote toegang en beheer • Hardening van alle apparaten: onnodige diensten uitschakelen, standaardwachtwoorden wijzigen, beveiligingsinstellingen op veilige waarden conform CIS Controls en OWASP-richtlijnen • Opdrachtnemer installeert firmware- en software-updates: beveiligingspatches conform onderstaande prioriteitsindeling: • P1 (Kritiek): binnen 48 uur; • P2 (Hoog): binnen 7 alenderdagen; • P3 (Middel): binnen 30 kalenderdagen; • P4 (Laag): binnen 90 kalenderdagen.

C2-004 Naast de TLS 1.3-certificaten voor het Systeem en de Applicatie zullen ook de 802.1xcertificaten van de controllers beheersbaar zijn.

Omdat SAML complexer is qua security, hanteren wij strikte eisen om de integriteit van de authenticatie te waarborgen.

De Oplossing ondersteunt authenticatie via de volgende protocollen conform de lijst met open standaarden van het Forum Standaardisatie: • OpenID Connect (OIDC) (voorkeur) óf SAML 2.0 en • OAuth 2.0 voor API-toegang E139.

Statutaire naam Gegadigde Naam ondertekenaar Functie ondertekenaar Handtekening Plaats en datum Statutaire naam onderaannemer Naam ondertekenaar Functie ondertekenaar Handtekening Plaats en datum TGV: Koppeldocument Applicatie Date 05/15/2026 Version v.3 Table of contents 1 OpenID Connect (OIDC) Koppeling...........................................................................................................................3 1.1 Applicatietypes ...............................................................................................................................................................3 1.2 Ondersteunde Grant Types .....................................................................................................................................3 1.3 Tokens & Scopes ............................................................................................................................................................5 1.4 Wat wij van u nodig hebben (OIDC)....................................................................................................................5 1.5 Wat u van ons krijgt (OIDC)......................................................................................................................................5 2 SAML 2.0 Koppeling (Legacy / Enterprise)..........................................................................................................7 2.1 Onze Security Eisen voor SAML2..........................................................................................................................7 2.2 Wat wij van u nodig hebben (SAML2)................................................................................................................7 2.3 Wat u van ons krijgt (SAML2)..................................................................................................................................7 3 Invulformulier voor de Aanvrager..............................................................................................................................8 4 IdP Omgevingen NIPV.......................................................................................................................................................9 TGV: Koppeldocument Applicatie 2 Dit document beschrijft de vereisten en parameters voor het koppelen van externe applicaties met de centrale Identity Provider (IdP) van het Nederlands Instituut Publieke Veiligheid (NIPV).

De Oplossing ondersteunt DNSSEC voor de webservices.

De Oplossing voldoet aan de richtlijnen voor de toegankelijkheid van de digitale dienstverlening conform DigiToegankelijkheid (WCAG 2.1, niveau AA, EN301549).

De in dit document weergegeven verwijzingen naar geo-standaarden, protocollen, technische specificaties en versies (waaronder maar niet beperkt tot standaarden van het Forum Standaardisatie, OGC en aanverwante organisaties) zijn onderhevig aan doorontwikkeling en wijziging. De Inschrijver kan aan eventuele onvolledigheden, verouderde verwijzingen of onnauwkeurigheden in deze specificaties geen rechten ontlenen.

De Geo-viewer biedt functionaliteit om gegevens te exporteren/downloaden naar verschillende formaten, in ieder geval naar geopackage, geojson, shp, xls(x) en csv.

De Oplossing ondersteunt de volgende standaarden / technieken: • de verplichte geo-standaarden op de ‘pas-toe-leg-uit’-lijst van Forum Standaardisatie; • OGC webservices; • netwerkprotocol MQTT; • netwerkprotocol Websocket; • netwerkprotocol Webhooks; • netwerkprotocol REST; • de ‘message broker’ Apache Kafka; • Open Database Connectivity (ODBC).

Redirect URI(s): De exacte URL('s) waar de gebruiker naartoe wordt gestuurd na succesvol inloggen (moet HTTPS zijn).

De hosting partner en organisatie van de Opdrachtnemer zijn ISO/IEC 27001 gecertificeerd en voldoen aan de voorwaarden genoemd in de Algemene Verordening Gegevensbescherming (AVG).

De infrastructuur en organisatie van de Opdrachtnemer (inclusief rekencentra (incl. back-up)) zijn adequaat beveiligd volgens ISO/IEC 27001 en ISO/IEC 27002 of vergelijkbaar.

7.6 Informatiebeveiliging Geschiktheidseis 6: Informatiebeveiliging De Inschrijver dient te beschikken over een informatiebeveiligingsmanagement systeem gelijkwaardig aan ISO/IEC 27001.

De infrastructuur en organisatie van de Opdrachtnemer (inclusief rekencentra (incl. back-up)) zijn adequaat beveiligd volgens ISO/IEC 27001 en ISO/IEC 27002 of vergelijkbaar.

Hierbij dient gebruik te worden gemaakt van het SSL-protocol op basis van TLS 1.2 of beter (voorkeur is TLS 1.3).

In de aanbestedingsdocumenten wordt een ISO 27001-certificering vereist, of een gelijkwaardig alternatief.

Inschrijver en indien van toepassing de onderaannemer beschikt over de volgende certificeringen: ● Bewijs ISO 9001-2015 of gelijkwaardig ● Bewijs ISO 27001 of gelijkwaardig 12-6-2026 Pagina 12 van 19 4.

Alle verbindingen zowel intern als extern zijn versleuteld via Transport Layer Security (TLS).

Versleuteling voldoet gedurende de looptijd van de overeenkomst aan de meest recente ICT-beveiligingsrichtlijnen voor Transport Layer Security (TLS) van het NCSC.

[NEN 3610:2011] Bron: https://damo.hetwaterschapshuis.nl/ Attribuut Definitie Schrijfwijze Code Een uniek identificerende code voor het object.

Verkeer wordt beperkt tot: - HTTPS (443), voor WebUI - Modbus/TCP (502), indien SCADA‐koppeling vereist is.

Indien toegestaan: - Alleen outbound HTTPS naar SMA‐cloudservers.

d) De switches worden ingericht conform het cybersecuritybeleid van de I&A‐afdeling, binnen de technische mogelijkheden van de Moxa EDS‐508A, waaronder: i. verplicht gebruik van HTTPS voor webbeheer ii.

Twee management systemen inrichten en erop nahouden voor een (overheid)organisatie is ondoenlijk en uitgaande van de overheidssituatie dat een overheidsorgaan altijd de kantooromgeving als thuisbasis heeft van waaruit andere activiteiten worden ontplooid, ligt het meer voor de hand om de BIO en het bijbehorende ISMS (eigenlijk het zuivere ISO 27001 framework) als basis te gebruiken voor het management systeem en deze te vullen met de relevante controls en maatregelen uit de IEC 62443 maar ook uit andere bronnen om de risico’s binnen het werkveld van IA te kunnen mitigeren.

BIO Baseline beveiliging IA/PA/OT IEC 62443 CSIR 2.0 Stap 2 BIO/ISO 27001 controls linken aan CSIR en verantwoorden Cybersecurity Implementatie Richtlijn 7 Om te kunnen bepalen of de Baseline beveiliging IA maatregelen toereikend zijn of dat er nog meer aanvullende maatregelen moeten worden getroffen bovenop de baseline beveiliging IA dient altijd een risicoanalyse en afweging gemaakt te worden voor het definiëren van de plus set aan maatregelen boven op de baseline beveiliging IA.

Voor HHNK geldt dat informatiedienten dienen te voldoen aan: a) Baseline Informatiebeveiliging Waterschappen (BIWA), (vanaf 1 januari 2020 zal BIWA worden vervangen door BIO); b) Baseline Informatiebeveiliging BIO; c) Informatiebeveiliging NEN-ISO 27002.

Vereiste 1 2 3 4 CT1 Bij inzet van versleuteling (cryptografie) dient de gekozen versleuteling en de onderliggende algoritmes en instellingen uitsluitend de duiding “goed” te hebben zoals aangegeven in de meest actuele versie van het NCSC document “Richtlijnen voor Transport Layer Security”.

Niet alleen de logserver dient te worden geconfigureerd op een tijdserver, maar ook alle aangesloten componenten zoals PLC’s welke logregels genereren op de logserver; l. Indien mogelijk dient Transport Layer Security (TLS) via TCP op poort 6514 gebruikt te worden (RFC 5425).

S9 Ja Voor applicaties wordt modern authenticatie geëist. Voorbeelden van compatibiliteit zijn OAuth, SAML of WS-Fed. (ref.

ProRail gebruikt Dynatrace voor overall monitoring Remote Management diversen systemen Als protocol: RDP, SSH, HTTPS Als protocol: RDP, SSH, HTTPS, BLAST Voor het beheer van zowel storage systemen als server systemen.

4.6 Security gerelateerde producten preventie Omschrijving Minimaal vereist Maximaal toegestaan Opmerkingen Virusscan server Microsoft defender for Cloud (servers) Microsoft defender for Cloud (servers) Client Microsoft Defender for Endpoint Server Microsoft Defender for Cloud Exchange Microsoft Exchange Online protection Cloud component Office Micosoft Defender for Office 365 Cloud component Identity Microsoft Defender for Identity Cloud component Applicaties Microsoft Defender for Cloud Apps Cloud component Databases Microsoft Defender for SQL Cloud component Encryptie client (inclusief USB storage) BitLocker Reverse proxy / Proxy NetScaler/ Cisco WSA SSL / TLS Minimaal TLS 1.2 SSL3 en lager is niet toegestaan.

• Gebruikersauthenticatie met een RSA token; • Gebruikersauthenticatie met SMS One Time Password (OTP); • User account synchronisatie met RWS Active Directory ldap(s); • Selfservice voor RSA tokens (HTTPS).

Twee management systemen inrichten en erop nahouden voor een (overheid)organisatie is ondoenlijk en uitgaande van de overheidssituatie dat een overheidsorgaan altijd de kantooromgeving als thuisbasis heeft van waaruit andere activiteiten worden ontplooid, ligt het meer voor de hand om de BIO en het bijbehorende ISMS (eigenlijk het zuivere ISO 27001 framework) als basis te gebruiken voor het management systeem en deze te vullen met de relevante controls en maatregelen uit de IEC 62443 maar ook uit andere bronnen om de risico’s binnen het werkveld van IA te kunnen mitigeren.

BIO Baseline beveiliging IA/PA/OT IEC 62443 CSIR 2.0 Stap 2 BIO/ISO 27001 controls linken aan CSIR en verantwoorden

Bron: NEN-ISO/IEC 27001 (nl) Informatietechnologie - Beveiligingstechnieken - Managementsystemen voor informatiebeveiliging - Eisen (ISO/IEC 27001:2017 en,IDT) Pagina 98 van 139 RWS INFORMATIE |Cybersecurity Implementatierichtlijn Objecten | 23 april 2021 Attribuut Definitie Schrijfwijze Object ID Invullen door RWS Bron ID (Uniek ID zoals geregistreerd bij opdrachtnemer) Plaats Waar kan de beheerdocumentatie worden gevonden?

CY010 CY140 Indien de bijlage J "Cybersecurity Implementatierichtlijn Objecten" bij de Vraagspecificatie Projectmanagement niet voorziet in maatregelen voor de invulling van de cybersecurityeisen, dan dient de Opdrachtnemer de NEN-ISO/IEC 27002 (Code voor Informatiebeveiliging) en/of delen van de IEC 62443 standaards (Industrial Automation and Control Systems (IACS) Security) te volgen.

Vereiste Weerstandsniveau 1 2 3 4 CT1 Bij inzet van versleuteling (cryptografie) dient de gekozen versleuteling en de onderliggende algoritmes en instellingen uitsluitend de duiding “goed” te hebben zoals aangegeven in de meest actuele versie van het NCSC document “Richtlijnen voor Transport Layer Security”.

Indien het Systeem geen veilig communicatieprotocol ondersteunt dan mag enkel gemotiveerd en na goedkeuring door de Opdrachtgever het X X X X Pagina 24 van 139 RWS INFORMATIE |Cybersecurity Implementatierichtlijn Objecten | 23 april 2021 onveilige communicatieprotocol worden ingezet, mits er een additioneel versleuteld kanaal wordt toegepast (SSL, TLS, IPSEC etc.). De gekozen versleuteling en de onderliggende algoritmes en instellingen dienen dan uitsluitend de duiding “goed” te hebben zoals aangegeven in de meest actuele versie van het NCSC document “Richtlijnen voor Transport Layer Security”.

Niet alleen de logserver dient te worden geconfigureerd op een tijdserver, maar ook alle aangesloten componenten zoals PLC’s welke logregels genereren op de logserver; l. Indien mogelijk dient Transport Layer Security (TLS) via TCP op poort 6514 gebruikt te worden (RFC 5425).